Normas ABNT NBR ISO/IEC 27002 e 27005

Prévia do material em texto

1a Questão 
 
 A seção Gestão de Incidentes de Segurança da Informação da Norma ABNT NBR ISO/IEC 27002 tem como 
objetivo apresentar recomendações para: 
 
 
Resolver de forma definitiva os problemas causados por incidentes de segurança da informação 
estabelecendo e executando as ações necessárias para minimizar efeitos causados aos dados dos 
sistemas de informação e comunicação. 
 
Evitar violação de qualquer lei criminal ou civil, estatutos, regulamentações ou obrigações contratuais e 
de quaisquer requisitos de segurança da informação. 
 
Assegurar que fragilidades e eventos de segurança da informação associados aos sistemas de 
informação sejam comunicados, permitindo a tomada de ação corretiva em tempo hábil 
 
Não permitir a interrupção das atividades do negócio, proteger os processos críticos contra efeitos de 
falhas ou desastres significativos e assegurar a sua retomada em tempo hábil, se for o caso 
 
Garantir conformidade dos sistemas com as políticas e normas organizacionais de segurança da 
informação e detectar e resolver incidentes de segurança da informação em tempo hábil 
 
 
 
 2a Questão 
 
 
 A norma NBR ISO/IEC 27002 orienta que a organização deve prevenir o acesso físico não autorizado, danos e 
interferências com as instalações e informações da organização. Neste caso a NBR ISO/IEC 27002 está 
fazendo referencia a que tipo de ação de Segurança: 
 
 
Gerenciamento das Operações e Comunicações. 
 
Segurança em Recursos Humanos. 
 
Segurança dos Ativos. 
 Segurança Física e do Ambiente. 
 
Controle de Acesso. 
 
 
 
 3a Questão 
 
 
 Com relação à estrutura, objetivos e conceitos gerais da NBR ISO/IEC 27000 é correto afirmar: 
 
 
Os objetivos de controle e os controles desta Norma têm como finalidade ser implementados para 
atender aos requisitos identificados exclusivamente por meio da classificação das informações. 
 
Contém 9 seções de controles de segurança da informação, que juntas totalizam 59 categorias principais 
de segurança e uma seção introdutória que aborda a questões de contingência. 
 
A gestão de riscos consiste no processo de seleção e implementação de medidas para modificar um 
risco. Inclui a análise, o tratamento e a comunicação de riscos e exclui a aceitação de riscos. 
 
Um incidente de segurança da informação é indicado por um evento de segurança da informação 
esperado, que tenha uma grande probabilidade de comprometer as operações do negócio e ameaçar a 
segurança da informação. 
 
Apresentar a descrição, vocabulário e correspondência entre a família de normas que tratam de um 
Sistema de Gestão de Segurança da Informação (SGSI), proporcionando os fundamentos sobre os quais 
toda a família está baseada e se integra. 
 
 
 
 4a Questão 
 
 
 Segundo a norma ABNT NBR 27002 é essencial que a organização identifique os requisitos de segurança da 
informação. Assinale a opção correta. 
 
 
Os requisitos de segurança da informação de uma organização são obtidos por três fontes principais, 
sendo a análise de riscos uma delas. 
 
Visando reduzir os riscos a um nível aceitável, a seleção de controles apropriados para implementação 
da segurança da informação é efetuada imediatamente após a identificação dos fatores de risco. 
 
No escopo legal da segurança da informação, há três controles essenciais para uma organização: o 
documento da política de segurança da informação, a atribuição de responsabilidades pela segurança da 
informação e o processamento correto das aplicações. 
 
A cultura organizacional não influencia a adoção de abordagem e estrutura para implementação, 
monitoramento e melhoria da segurança da informação. 
 
A segurança da informação é alcançada por meio da adoção de um conjunto de tecnologias adequadas. 
 
 
 
 5a Questão 
 
 
 Qual das opções abaixo apresenta o documento integrante da Política de Segurança da Informação onde são 
definidas as regras de alto nível que representam os princípios básicos que a organização resolveu incorporar 
à sua gestão de acordo com a visão estratégica da alta direção? 
 
 
Manuais. 
 
Normas. 
 
Procedimentos. 
 
Relatório Estratégico. 
 Diretrizes. 
 
 
 
 6a Questão 
 
 
 Marque a alternativa que NÃO representa uma alternativa a mitigação de risco: 
 
 
Limitação de risco 
 
Aceitação de risco 
 
Transferência de risco 
 
Prevenção de risco 
 
Suposição de risco 
 
 
 
 7a Questão 
 
 
 Qual das opções abaixo apresenta a Norma referente a gestão de Risco dentro da Família ISO/IEC 27000 ? 
 
 
ISO/IEC 27005 
 
ISO/IEC 27003 
 
ISO/IEC 27004 
 
ISO/IEC 27001 
 
ISO/IEC 27002 
 
 
 
 8a Questão 
 
 
 Com relação à NBR 27005, assinale a opção correta, no que se refere à gestão de riscos de segurança da 
informação. 
 
 
Qualquer atividade de comunicação do risco de segurança da informação deve ocorrer apenas após a 
aceitação do plano de tratamento do risco pelos gestores da organização. 
 
A definição do contexto da gestão de riscos deve preceder a identificação dos ativos de valor. 
 
Aceitar ou reter um risco durante o seu tratamento equivale a transferi-lo. 
 
Os riscos residuais são conhecidos antes da comunicação do risco. 
 
Os riscos são reduzidos ou mitigados sem que ocorra a seleção de controles.